Menganalisis Perilaku Penyerang

Manfaat utama penyesatan adalah intelijen. Dengan mengamati cara penyerang berinteraksi dengan umpan, pembela mempelajari taktik, teknik, dan prosedur lalu mengubah pengetahuan tersebut menjadi pertahanan yang lebih kuat.

Catatan umpan mengungkapkan detail yang kaya:

• IP sumber dan infrastruktur.
• Kredensial dan perintah yang dicoba.
• Alat dan eksploitasi yang digunakan.
• Waktu dan urutan tindakan.

Kerangka kerja MITRE ATT&CK mengatalogkan taktik dan teknik musuh. Memetakan aktivitas perangkap madu yang diamati ke ATT&CK mengubah catatan mentah menjadi profil penyerang yang terstruktur serta mengungkap pertahanan mana yang perlu diperkuat.

Perilaku memberikan petunjuk tentang tujuan:

• Pemindaian luas menunjukkan serangan otomatis oportunistis.
• Pendataan terarah terhadap aset tertentu menunjukkan musuh yang bertindak dengan sengaja.
• Pencarian data menunjukkan motif eksfiltrasi.

Petunjuk membantu membedakan program otomatis dari manusia:

• Program otomatis: rangkaian perintah yang langsung, seragam, dan dapat diprediksi.
• Manusia: jeda, salah ketik, serta perilaku yang eksploratif dan adaptif.

Mengetahui jenis penyerang yang Anda hadapi akan menentukan bentuk respons.

Perangkap madu interaksi tinggi sering menangkap perangkat lunak berbahaya yang dijatuhkan penyerang. Menganalisis sampel ini (di lingkungan uji terisolasi) mengungkap muatan, server perintah dan kendali, serta metode persistensi untuk diblokir di tempat lain.

Ekstrak indikator kompromi dari aktivitas yang diamati:

• IP dan ranah berbahaya.
• Nilai ringkas berkas.
• Ciri alat dan pola perintah.

Masukkan indikator kompromi ke tembok api, EDR, dan SIEM untuk memblokir pelaku yang sama pada sistem nyata.

Hal yang Anda pelajari dapat membantu pihak lain. Berbagi indikator kompromi dan taktik, teknik, serta prosedur yang telah dianonimkan melalui komunitas tepercaya (pusat berbagi informasi dan analisis, platform intelijen ancaman) memperkuat pertahanan bersama terhadap musuh yang sama.

Tutup siklusnya. Gunakan temuan perangkap madu untuk:

• Menerapkan tambalan pada kelemahan yang dieksploitasi di lingkungan produksi.
• Memperketat aturan deteksi berdasarkan teknik yang diamati.
• Menambahkan indikator kompromi penyerang ke daftar blokir.

Interpretasikan dengan cermat:

• IP sumber sering kali merupakan proksi atau jaringan privat virtual, bukan asal sebenarnya.
• Penyerang mungkin menanam petunjuk yang menyesatkan.
• Satu perangkap madu memberikan pandangan yang sempit; korelasikan dengan data lain.

Intelijen hanya bernilai jika ditindaklanjuti. Bangun rutinitas: kumpulkan data umpan, analisis dan petakan data tersebut, ambil indikator kompromi, lalu perbarui pertahanan agar setiap serangan terhadap perangkap membuat lingkungan nyata semakin sulit ditembus.

Hubungkan analisis dengan pertahanan.

Menganalisis perilaku penyerang mengubah perangkap menjadi intelijen:

• Perangkap madu menangkap IP, kredensial, perintah, alat, dan perangkat lunak berbahaya.
• Petakan aktivitas ke MITRE ATT&CK dan simpulkan niatnya.
• Ekstrak indikator kompromi dan bagikan intelijen ancaman.
• Tutup siklus dengan memperkuat pertahanan nyata berdasarkan hal yang Anda pelajari.